Security awareness: medir clique, não curso

Para CISOs, TI e compliance na América Latina, o security awareness training deixa de ser uma exigência de presença e passa a ser um programa de risco humano. A evidência que cruza NIST, estudos acadêmicos e relatórios da indústria mostra que o curso anual isolado mede conformidade, mas não muda de forma confiável o clique, o reporte nem a retenção. A decisão correta é operar com métricas de comportamento e reforços contínuos.

Antes de olhar cada fonte separadamente, a comparação junta algo que nenhuma traz por completo: o marco normativo, a evidência empírica e a consequência operacional. É aí que fica claro que o valor não está em concluir um curso, e sim em sustentar aprendizado, simulação e medição por coortes e funções.

O que o NIST diz sobre o programa e o que muda com a revisão?

O NIST SP 800-50, Building an Information Technology Security Awareness and Training Program, organiza o programa em quatro etapas, design, development, implementation e post-implementation. Ele também separa awareness de training, em que awareness é fazer a segurança importar e training é ensinar tarefas específicas. Essa distinção importa porque impede medir tudo com uma única variável, a conclusão do curso.

A revisão de 2024, NIST SP 800-50 Revision 1, move o foco para um learning program contínuo para toda a força de trabalho, baseado em funções. A leitura da Whalemate é direta, o padrão já não empurra uma lógica de evento anual, mas um esquema sustentado e segmentado. Para um CISO, isso habilita desenho de programa, não apenas plano de capacitação.

Por que o curso anual não basta na prática?

O estudo da UC San Diego avaliou 10 tipos de e-mails de phishing ao longo de oito meses e encontrou que o embedded phishing training reduziu a probabilidade de clique em links em apenas 2%. A própria conclusão do trabalho é que esses programas are unlikely to offer significant practical value na redução do risco de phishing. Isso deixa uma tensão incômoda para compliance, porque o curso pode existir e ainda assim não mudar o comportamento.

A Whalemate lê isso como um problema de temporalidade e de desenho. Se a intervenção ocorre uma vez por ano, mas o risco aparece todos os dias, o controle se esgota antes de amadurecer. Por isso a métrica útil não é presença, e sim evolução do comportamento entre simulações e reforços.

O que a evidência mostra sobre awareness, e não só training?

O estudo da Frontiers in Computer Science encontrou que Information Security Training tem efeito positivo sobre Security Awareness, mas que a awareness é o preditor mais forte tanto da mitigação de phishing quanto do reporting. Em outras palavras, o training não empurra diretamente a mudança mais valiosa, ele faz isso por meio do nível de awareness que consegue construir.

A tensão aqui é operacional, não teórica. Se o indicador que melhor explica o comportamento é awareness, então um dashboard que só conta cursos concluídos está olhando a variável errada. Para CISO e compliance, o valor está em medir awareness e taxas de reporte como sinais intermediários, porque é ali que se vê se a intervenção está funcionando.

O que acontece quando o programa é contínuo e baseado em prática?

O relatório resumido pela queda do Phish-prone Percentage médio de 32.4% para 17.6% em 90 dias e para até 5% depois de um ano de capacitação contínua mostra que o Phish-prone Percentage médio caiu de 32.4% para 17.6% em 90 dias e para até 5% depois de um ano de capacitação contínua. Em saúde e farmacêuticas, além disso, o PPP chegou a 4.1%, 5.1% e 5.9%, conforme o tamanho da organização. O sinal é claro, quando há continuidade, prática e reforço, o indicador que importa se move.

Isso não contradiz a UC San Diego, complementa. A diferença não parece estar em "ter training", mas em como ele é estruturado. Continuidade, repetição e acompanhamento por coortes mudam o resultado onde o curso isolado não muda.

O que Verizon e SANS dizem sobre a prioridade real do risco humano?

O Verizon DBIR 2026 indica que o human element aparece em 62% das quebras e que social engineering representa 16% dos padrões. A engenharia social, incluindo phishing, smishing e vishing, continua sendo o principal risco humano. As duas fontes apontam para a mesma leitura, o problema não é marginal nem episódico.

A implicação para um CISO na América Latina é que o training deixa de ser uma etapa de compliance e passa a ser um controle de primeira linha contra engenharia social. Se o atacante entra por pessoas, a organização precisa ver comportamento, não só certificados de conclusão.

O que falha quando se olha só para a conclusão do curso?

A principal falha é que a conclusão não prevê nem clique, nem reporte, nem retenção. O estudo programas SETA podem reduzir a suscetibilidade ao phishing em 50% em um experimento inicial, mas o ganho de conhecimento desaparece em aproximadamente um mês informa isso, enquanto o trabalho da USENIX / ACM acrescenta que as melhorias na identificação de e-mails desaparecem em seis meses e que são necessários lembretes semestrais e formatos com vídeos e exemplos interativos.

A Whalemate interpreta essa combinação como prova de retenção frágil. Se o conhecimento se perde rápido, a organização precisa medir o decaimento, não uma foto estática. É aí que reforços periódicos, simulações e segmentação por função entram como decisões de programa, não como extras opcionais.

Que decisão isso habilita para CISOs, TI e compliance na América Latina?

A decisão habilitada é substituir o modelo de curso anual por um programa de risco humano com KPIs operacionais. Isso inclui medir taxa de clique em simulações, reporte de incidentes, awareness, retenção do conhecimento e PPP por coortes ou funções. Também implica usar o score para priorizar intervenções, não para punir, porque o valor está em identificar onde reforçar controles técnicos, comunicações e treinamento.

Para TI e compliance, isso muda a conversa com auditoria e liderança. Em vez de provar que houve capacitação, prova-se se a suscetibilidade caiu, se o reporte aumentou e se o risco humano mudou ao longo do tempo. Isso permite decisões mais concretas sobre investimento, priorização e cobertura.

O que ler depois?

• Human Risk Management na plataforma
• Whalemate e o HRM em security awareness

O que é uma plataforma security awareness na América Latina?

Uma plataforma security awareness na América Latina é um programa contínuo para toda a força de trabalho, baseado em funções e focado em medir comportamento, não só conclusão. Neste artigo, a lógica correta é sair do curso anual isolado para simulação, reforços e acompanhamento por coortes.

O NIST SP 800-50 separa awareness de training e a revisão de 2024 empurra um learning program sustentado. Além disso, os estudos citados mostram que o clique, o reporte e a suscetibilidade ao phishing mudam melhor quando a medição acompanha a evolução do comportamento.